Здравствуйте, Людмила.
В данном случае необходимо учитывать нормы Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных».
Согласно ст. 12 Данного закона, трансграничная передача персональных данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Поскольку ваш сайт, реклама через Google Ads или взаимодействие с иностранным юридическим лицом предполагают передачу данных граждан РФ или иных субъектов, чьи данные вы обрабатываете за пределы России, вы обязаны до начала такой деятельности уведомить Роскомнадзор о своем намерении в соответствии с ч. 3 ст. 12 Закона № 152-ФЗ. Это уведомление подается отдельно от общего уведомления об обработке персональных данных, предусмотренного ст. 22 Закона № 152-ФЗ.
В уведомлении о трансграничной передаче необходимо указать сведения об операторе, т.е. о вашем российском юридическом лице, правовое основание и цель трансграничной передачи, категории и перечень передаваемых данных, а также категории субъектов, перечень иностранных государств, т.е. в вашем случае — это Кипр, Испания, ОАЭ, дату проведения оценки соблюдения иностранными контрагентами конфиденциальности и безопасности персональных данных.
И до подачи уведомления вы обязаны получить от иностранных лиц, которым планируется передача данных, сведения о мерах по защите передаваемых персональных данных и условиях прекращения их обработки, сведения о правовом регулировании в области персональных данных в их государстве, если государство не входит в перечень стран, обеспечивающих адекватную защиту и сведения о контактных данных этих лиц.
Если государство включено в перечень стран, обеспечивающих адекватную защиту (это утверждается Роскомнадзором), то вы вправе осуществлять передачу после направления уведомления, т.е. до принятия решения о запрете.
Если государство не включено в этот перечень, вы не вправе осуществлять передачу до истечения 10 рабочих дней с даты поступления уведомления в Роскомнадзор в соответствии с ч. 11 ст. 12 Закона № 152-ФЗ.
Если иностранное юридическое лицо будет самостоятельно обрабатывать данные в своих целях, оно выступает самостоятельным оператором. Если же оно действует исключительно по вашему поручению, то Вам необходимо оформить договор, содержащий перечень действий с данными и требования по их защите на основании ч. 3 ст. 6 Закона № 152-ФЗ.
При этом политика конфиденциальности на вашем сайте должна быть актуализирована и должна содержать информацию о трансграничной передаче данных.
И знайте, что Роскомнадзор вправе запретить или ограничить трансграничную передачу в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан на основаниич. 7 ст. 12 Закона № 152-ФЗ.
Поскольку в ваших текущих сведениях в Роскомнадзоре трансграничная передача не указана, вам необходимо подать соответствующее уведомление до начала фактической передачи данных иностранным контрагентам или использования сервисов, предполагающих такую передачу.